PHP2Shell: due RCE non autenticate nel core di PHP trovate con l'aiuto di modelli AI
In una frase Il 21 ottobre PHP rilascia 8.5.12, 8.4.27, 8.3.36 e 8.2.35 per CVE-2026-109618 e CVE-2026-109619 (CVSS 9.2), falle di memoria nel motore che permettono esecuzione di codice remota senza autenticazione. Wiz le ha scoperte usando Gemini 4 Argon, GPT-5.6 Sol e il proprio Wiz Atlas.
PHP è il linguaggio su cui gira una parte enorme del web, da WordPress a Drupal e Joomla. Il 21 ottobre gli sviluppatori di PHP hanno pubblicato aggiornamenti urgenti per due falle nel cuore del linguaggio, non in un'applicazione specifica: per questo anche un sito PHP semplicissimo può essere vulnerabile, se gira su una versione non aggiornata.
Le falle permettono a un attaccante, senza credenziali, di eseguire codice sul server o di leggerne la memoria, dove possono trovarsi password, token e chiavi. Secondo Wiz praticamente tutte le versioni dell'ultimo decennio, fino a PHP 5.4, hanno almeno uno dei problemi.
La novità è il modo in cui sono state trovate: i ricercatori di Wiz hanno usato modelli AI (Gemini 4 Argon di Google e GPT-5.6 Sol di OpenAI) per scoprire i bug, costruire gli exploit, adattarli alle diverse versioni e validare le correzioni. Lo stesso strumento che accelera la difesa accelera anche l'attacco, e infatti la corsa alla patch è partita subito.
Aziende
Wiz, PHP, OpenAI, Google
Tool
Gemini 4 Argon, GPT-5.6 Sol, Wiz Atlas
Tag
Fonti
- https://www.wiz.io/blog/php2shell-php-rce
- https://cert.europa.eu/publications/security-advisories/2026-018/
- https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching
- https://cloud.google.com/blog/products/identity-security/responding-to-core-php-vulnerabilities-cve-2026-109618-cve-2026-109619